forse mi sfugge questo

se un malintenzionato ruba i cookies di password e utente sotto forma di sha1

quindi se
sha(utente) =gguygygyguygygu
sha(password) =3543535

ruberà gguygygyguygygu - e - 3543535
con questi dati no può fare un login
ma può inserirsi nele pagine protette a aprirle o visionarle?